近年、企業の基幹システムや製造ラインなどを狙うランサムウェア攻撃は、事業継続に大きな影響を及ぼす脅威となっています。独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威2026」でも、「ランサム攻撃による被害」は組織向け脅威の第1位に挙げられており、11年連続で10大脅威に選出されています。

万が一、自社の端末やサーバーでファイルの暗号化やランサムノートなどが確認された場合、重要なのは暗号化されたデータを復旧することだけではありません。攻撃者がどこから侵入し、どのシステムやアカウントまで侵害したのか、機密情報や個人情報が外部へ持ち出された可能性があるのかを確認したうえで、安全な事業復旧につなげるための「ランサムウェア調査」が重要になります。

本記事では、ランサムウェア被害に直面した際の初動対応の注意点から、侵入経路・被害範囲・情報流出を確認するための調査、具体的な対応ステップ、専門会社へ依頼する判断基準、さらに平時から実施しておきたいランサムウェア対策まで、実務担当者が意思決定を行うために必要な情報を解説します。

INDEX

はじめに

ランサムウェア被害を疑ったら｜調査前の初動対応で注意すべきこと

ランサムウェア調査とは？目的と重要性を理解する

【目的別】ランサムウェア調査で確認すべき3つの重要ポイント

ランサムウェア調査の具体的な進め方と流れ

ランサムウェア調査は自社で可能？専門家へ依頼すべきケースとは

被害に備えるために平時から実施すべきランサムウェア対策

まとめ：ランサムウェア調査は安全な事業復旧と再発防止につなげることが重要

ランサムウェア被害を疑ったら｜調査前の初動対応で注意すべきこと

システムの異常や不審なファイルの暗号化に気づいたとき、原因を確認しようとして不用意に端末を操作したり、事業への影響を抑えるためにすぐ復旧作業を開始したりすると、その後の調査が難しくなる場合があります。

ランサムウェア発生時には、被害拡大の防止・調査に必要なデータの保全・事業復旧を並行して考える必要があります。

不用意な操作は調査に必要な痕跡を失う可能性がある

ファイルが暗号化されたり、見慣れない拡張子へ変更されたりした端末を発見した場合、原因を確認するために不用意に再起動を繰り返したり、不審なファイルを削除したりすると、調査に必要な情報の状態が変化する可能性があります。

ランサムウェアやその前段階で活動したマルウェアは、イベントログやレジストリ、ファイルシステム、EDRログなどに活動の痕跡を残す場合があります。また、実行中のプロセスやネットワーク接続など、一部の情報はメモリ上にのみ存在し、電源を切ることで失われる可能性があります。

被害拡大を防ぐ必要がある場合には、感染が確認・疑われる端末をLANケーブルの抜去や無線通信の無効化などによってネットワークから隔離することが基本的な対応の一つです。警察庁も、ランサムウェア被害が疑われる場合には感染端末をネットワークから隔離し、調査に必要なログ等が消失する可能性があるため、端末やネットワーク機器の電源を落とさないよう案内しています。

ただし、すべての環境で同じ対応が最適とは限りません。ネットワークから切り離せないなど、被害拡大を防止するために電源断が必要となる場合もあるため、自社のインシデント対応手順や専門家の助言に基づいて判断することが重要です。CISAも、ネットワークから切断できない場合の電源断を選択肢としつつ、揮発性メモリ上の証拠が失われる可能性に注意を促しています。

安全が確認できないまま復旧すると再感染するリスクがある

業務への影響を抑えるため、バックアップからできるだけ早くシステムを復旧したいと考えるのは自然です。しかし、侵入に利用された脆弱性や侵害された認証情報、不正に作成されたアカウント、永続化のために設置されたツールなどが残っている状態で復旧すると、再び侵害される可能性があります。

また、攻撃者がバックアップ管理環境へアクセスしていた場合には、バックアップデータや復旧基盤自体が影響を受けている可能性も確認する必要があります。

そのため、単に「正常なバックアップがあるから復旧できる」と判断するのではなく、侵入経路の是正、侵害された可能性のある認証情報の変更、残存する脅威の確認、バックアップの健全性確認などを行い、復旧計画に基づいて段階的にシステムを再開することが重要です。

ランサムウェア調査とは？目的と重要性を理解する

ランサムウェア調査とは、攻撃者がシステムへ侵入した経路、組織内でどのような活動を行ったのか、影響を受けた端末・サーバー・アカウントの範囲、さらに機密情報などが外部へ持ち出された可能性があるかを、各種ログやデジタル上の痕跡から確認する調査です。

暗号化されたファイルを復元することだけが目的ではありません。調査結果は、被害拡大の防止、安全なシステム復旧、個人情報漏えい等への対応、経営層や取引先への説明、再発防止策の検討などの判断材料となります。

ランサムウェア調査の5つの目的

ランサムウェア調査では、事案に応じて調査範囲は異なりますが、主に以下の5つの目的から調査を進めます。

目的1：侵入経路の特定

攻撃者が自社のネットワーク環境へ最初に侵入した「エントリーポイント」を確認します。

VPN機器や外部公開システムの脆弱性、漏えい・窃取された認証情報、フィッシングメールなど、どの経路から侵入された可能性があるのかを確認します。

侵入経路を把握しないまま復旧した場合、同じ脆弱性や認証情報を利用して再び侵入される可能性があるため、再発防止の観点からも重要な調査項目です。

目的2：被害範囲（影響範囲）の特定

暗号化されている端末だけが被害を受けているとは限りません。

攻撃者が侵入後にアクセスしたPCやサーバー、Active Directoryなどの認証基盤、仮想化基盤、クラウドサービス、管理者アカウントなどを調査し、侵害された可能性のある範囲を確認します。

影響範囲を整理することで、隔離や追加調査が必要なシステムと、事業継続のために利用を継続できるシステムを判断する材料になります。

目的3：情報流出の有無と対象データの確認

現在のランサムウェアでは、データを暗号化するだけでなく、事前に情報を窃取し、「身代金を支払わなければ公開する」と脅迫する二重恐喝型の攻撃が多く確認されています。警察庁の令和7年（2025年）の統計では、手口が判明した153件のうち136件が二重恐喝型でした。

そのため、暗号化被害への対応と並行して、ファイルへのアクセス、大量のデータ取得、圧縮処理、外部への通信などを調査し、情報が持ち出された可能性があるか確認する必要があります。

ただし、調査を行えばすべての事案で情報流出の有無を断定できるとは限りません。保存されているログや端末の状態によっては、「流出を示す痕跡を確認した」「流出の可能性がある」「現存するデータからは判断できない」といった形で整理する場合もあります。

目的4：封じ込め・根絶と安全な業務復旧の判断

調査によって、攻撃者が利用したアカウント、不審なプログラム、遠隔操作ツール、バックドア、スケジュールタスクなど、攻撃継続や再侵入につながる可能性のある要素を確認します。

確認された脅威を除去するとともに、侵入に利用された脆弱性や認証情報などを是正し、残存リスクを評価します。

こうした情報は、どのシステムをどの順番で復旧するのか、ネットワークへの再接続をいつ行うのかなど、安全な事業復旧を判断するための重要な材料となります。

目的5：具体的な再発防止策の策定

調査によって明らかになった侵入経路や攻撃者の活動をもとに、再発防止策を検討します。

例えば、悪用された脆弱性への対応、多要素認証（MFA）の導入、アクセス権限の見直し、EDR等による監視強化、ネットワーク構成の見直し、ログ管理、バックアップ方式の改善などです。

「一般的なランサムウェア対策」を一律に追加するだけではなく、実際に自社で発生したインシデントの原因に基づいて優先順位を決めることが重要です。

【目的別】ランサムウェア調査で確認すべき3つの重要ポイント

ランサムウェア調査では、すべてのログを手当たり次第に確認するのではなく、「何を明らかにしたいのか」に応じて必要なデータを整理します。

特に重要なのが、侵入経路・被害範囲・情報流出の3つです。

ポイント1：侵入経路の調査｜どこから攻撃者は侵入したか

最初の侵入フェーズでは、攻撃者がインターネットに公開されたシステムや従業員端末などをどのように悪用し、組織内部へ侵入した可能性があるのかを確認します。

VPN機器やリモートアクセス環境の脆弱性・設定不備

近年のランサムウェア被害では、VPN機器などインターネットに公開された機器の脆弱性、漏えいした認証情報、弱いパスワード、設定不備などを悪用して侵入する手口が多く確認されています。警察庁も、VPN機器等のインターネットに露出した箇所からの侵入が多くを占めるとして注意を呼びかけています。

調査では、VPN機器やファイアウォール、リモートアクセス環境などの接続ログを確認し、通常とは異なるアクセス、脆弱性が悪用された可能性のある通信、不審な認証などを確認します。

フィッシングメールなどを起点としたマルウェア感染

従業員へ送信されたフィッシングメールの添付ファイルやリンクなどを起点としてマルウェアへ感染し、その後のランサムウェア攻撃につながるケースもあります。

メールの受信履歴、添付ファイル、URLへのアクセス、プロキシログ、EDRの検知履歴、端末上のプロセス実行履歴などを確認し、感染の起点となった可能性がある操作を時系列で整理します。

窃取された認証情報による不正アクセス

過去の情報漏えいやフィッシング、マルウェア感染などによって窃取された正規のID・パスワードを悪用し、VPNやリモートデスクトップ、クラウドサービスなどへ侵入される場合があります。

正規の認証情報が利用されているため、一見すると通常のログインに見えることもあります。そのため、アクセス元IPアドレス、利用端末、時間帯、認証方式、MFAの利用状況、その後の操作などを複数の情報から確認します。

なお、「海外IPからのアクセス」など一つの特徴だけで不正アクセスと断定するのではなく、通常の利用状況との違いやその後の活動を含めて判断することが重要です。

ポイント2：被害範囲の調査｜どこまで攻撃は広がったか

ネットワークへ侵入した攻撃者は、より高い権限や重要なシステムへのアクセスを得るため、組織内部で活動範囲を広げることがあります。

暗号化された端末だけでなく、暗号化前に侵害された可能性のあるシステムまで含めて確認します。

横展開（ラテラルムーブメント）の追跡

攻撃者は最初に侵害した端末を足がかりとして、他のPCやサーバーへアクセスすることがあります。

この横展開では、不正プログラムだけでなく、OS標準機能や正規のリモート管理ツール、スクリプトなど、通常業務でも利用される仕組みが悪用される場合があります。

そのため、端末間の通信、リモートログイン、プロセス実行、認証ログなどを時系列で関連付け、攻撃者がどのシステムへアクセスした可能性があるのかを確認します。

管理者権限（特権ID）の侵害・悪用の有無

Active Directoryのドメイン管理者など、高い権限を持つアカウントが侵害された場合、攻撃者が多数のシステムへアクセスしたり、セキュリティ設定を変更したりする可能性があります。

調査では、不審な特権アカウントの利用、新規アカウントやグループの作成、権限変更、ドメインコントローラーへのアクセスなどを確認します。

特権IDがどの時点で、どのように利用されたのかは、被害範囲を評価するうえで重要な確認項目です。

バックアップデータへの影響・侵害状況

ランサムウェア攻撃では、企業による復旧を妨げるため、バックアップサーバーやネットワークストレージ、仮想化基盤などが攻撃対象となる場合があります。

バックアップデータが削除・暗号化されていないか、バックアップ管理用アカウントが侵害されていないか、管理コンソールへ不審なアクセスがないかなどを確認します。

さらに、復旧に利用するバックアップについて、取得時点や完全性、マルウェア・侵害の影響を受けていないかを確認し、復旧ソースとして利用できるか評価します。

ポイント3：情報流出の調査｜外部へのデータ持ち出しは発生したか

ランサムウェアではシステムの可用性が損なわれるだけでなく、個人情報や機密情報が外部へ持ち出されるケースも多く確認されています。

情報流出の可能性がある場合、個人情報保護法上の対応や取引先・顧客への説明などにも影響するため、暗号化被害とは分けて確認する必要があります。

外部への不審な通信・データ送信の確認

攻撃者が情報を外部へ送信した場合、ファイアウォール、プロキシ、EDR、クラウドサービスなどに関連する通信記録が残っている場合があります。

通常利用されていない外部サービスやドメインとの通信、長時間継続する通信、大量のデータ送信などを確認し、ファイル操作や圧縮処理など端末側の痕跡と関連付けて分析します。

ただし、不審な外部通信が確認されたことだけで「情報が流出した」と断定することはできません。送信元となった端末や対象ファイル、通信量など複数の情報から総合的に評価します。

持ち出された可能性のあるデータの種類・範囲の確認

情報流出が疑われる通信が確認された場合、その前後にどのファイルやデータベースへアクセスしていたのかを確認します。

顧客情報、取引先情報、従業員の個人情報、設計情報などの保存領域に対するアクセス、大量コピー、圧縮ファイルの作成、クラウドサービスへのアップロードなどの痕跡を調査します。

ただし、保存されているログの種類や粒度によっては、持ち出されたファイルを完全に特定できないケースもあります。その場合は、確認できた範囲と確認できない範囲を分けて整理します。

個人情報保護法上の報告・通知判断に必要な事実の整理

個人データの漏えい等、またはそのおそれが発生し、個人情報保護法上の報告対象事態に該当する場合には、個人情報保護委員会への報告や本人への通知が必要となります。

個人情報保護委員会では、報告対象となる場合、まず速報を速やかに行い、発覚から概ね3～5日以内を目安としています。その後、確報は原則として発覚から30日以内、不正の目的をもって行われたおそれがある事案では60日以内とされています。

ランサムウェアによる不正侵入が個人データに及んでいる可能性がある場合には、対象となった情報、人数、原因、二次被害のおそれなど、報告・通知の判断に必要となる事実を調査によって整理することが重要です。

ランサムウェア調査の具体的な進め方と流れ

ランサムウェア被害が発覚してから調査を行い、安全な事業復旧へつなげるまでの対応は、インシデントの状況によって異なります。

ここでは一般的な流れを6つのステップで整理します。

Step1：被害の覚知と初動対応（状況把握・必要に応じた隔離・証拠保全）

異常を検知したら、どの端末で暗号化やランサムノートが確認されたのか、いつ発見したのか、業務システムや製造ラインなどにどのような影響が発生しているのかを整理します。

現在も攻撃が継続している可能性がある場合には、被害拡大を防止するため、状況に応じて感染端末や関連システムのネットワーク隔離を行います。

同時に、端末・サーバー・EDR・VPN・認証基盤・ファイアウォールなど、調査に必要となるデータの保全を開始します。

不要な再起動、初期化、不審ファイルの削除などによって痕跡を変化させないよう、自社の対応手順や専門家の助言に基づいて対応します。

Step2：調査体制の構築と外部専門家への相談

ランサムウェア発生時には、被害拡大防止、システム復旧、調査、経営判断、法務・広報対応など複数の業務を並行して進める必要があります。

情報システム部門やセキュリティ担当者だけで抱え込まず、経営層、法務、広報、事業部門など必要な関係者を含めて対応体制を構築します。

自社だけでは侵入経路や被害範囲、情報流出の可能性を確認することが難しい場合には、フォレンジック調査などを行う外部専門家へ早い段階で相談し、優先して保全・調査すべきデータや調査範囲を整理します。

サイバー保険へ加入している場合には、保険会社や保険代理店への連絡手順、指定業者の有無なども契約内容に従って確認します。

Step3：調査の実施（ログ解析・フォレンジック）

調査対象となる端末やサーバー、各種ログを保全し、インシデントに関係するデータを解析します。

例えば、

• 端末・サーバーのイベントログや各種アーティファクト
• EDRの検知・活動履歴
• Active Directoryなどの認証ログ
• VPNやファイアウォールなどのネットワークログ
• クラウドサービスの監査ログ

などを時系列で関連付けます。

これによって、「どこから侵入した可能性があるのか」「どのアカウントが利用されたのか」「どのシステムへアクセスしたのか」「どのような操作が行われたのか」「情報が外部へ送信された痕跡があるのか」といった事実を可能な範囲で整理します。

Step4：調査結果の整理と関係者への報告

解析で確認された事実を整理し、必要に応じて調査報告書を作成します。

経営層へ報告する際には、技術的な詳細だけでなく、

「何が起きたのか」

「どこまで影響しているのか」

「情報流出を示す痕跡は確認されたのか」

「現時点で確認できていない事項は何か」

「事業復旧に向けてどのような対応が必要か」

といった経営判断につながる情報として整理します。

法務・広報などは、こうした調査結果をもとに、個人情報保護委員会への報告、本人通知、取引先への説明、公表などの必要性を検討します。

Step5：封じ込め・根絶と段階的な復旧

調査によって確認された侵入経路や侵害アカウント、不正プログラム、バックドア、遠隔操作ツールなどへ対処します。

脆弱性へのパッチ適用、認証情報の変更、不正アカウントの削除、影響端末の再構築などを実施し、残存するリスクを評価します。

そのうえで、検証したバックアップやクリーンな環境を利用し、優先度の高いシステムから段階的に復旧します。

復旧後もEDRやネットワーク監視などを用いて不審な挙動がないか確認しながら、業務再開範囲を広げていくことが重要です。

Step6：再発防止策の策定と実行

ランサムウェア調査によって確認された原因や攻撃者の活動をもとに、再発防止策を策定します。

多要素認証（MFA）の導入、EDR等の監視強化、脆弱性管理、アクセス権限の見直し、ネットワーク分離、バックアップ方式の改善、ログ管理、インシデント対応手順の見直しなど、必要なランサムウェア対策を優先順位を付けて実行します。

対策を導入して終わりではなく、実際に機能するかを確認し、定期的に見直すことも重要です。

ランサムウェア調査は自社で可能？専門家へ依頼すべきケースとは

インシデント発生時には、「どこまで自社で確認し、どの段階から専門家へ依頼するべきか」という判断が必要になります。

自社の技術力やログ環境、被害範囲、対外説明の必要性などを踏まえて判断します。

自社で対応できる範囲と限界

社内にセキュリティエンジニアが在籍し、EDRやSIEMなどを運用している場合には、アラートの確認、影響端末の特定、アカウント停止、ネットワーク隔離など、初期の状況把握や封じ込めを自社で実施できる場合があります。

一方、複数のPC・サーバー・認証基盤・ネットワーク・クラウドなどを横断してログを関連付け、侵入経路や攻撃者の活動を時系列で再構成する作業には専門的な知識が必要です。

また、「情報流出を示す痕跡が確認されなかった」ことと、「絶対に情報流出していないことを証明できた」ことは同じではありません。

ログが保存されていない、攻撃者によって削除されている、取得できる情報が限定されているといったケースもあるため、自社だけでは調査範囲や結果の評価が難しい場合には外部専門家への相談を検討します。

専門のフォレンジック調査会社に依頼するメリット

外部のフォレンジック調査会社へ依頼することで、社内チームが復旧・事業継続対応を進める一方、専門家が並行してデータ保全や解析を進める体制を構築しやすくなります。

客観的な事実に基づいた経営判断につなげられる

ランサムウェア発生時には、「流出している可能性は低いと思う」「この端末だけが被害を受けていると思う」といった推測だけでは、経営層が事業再開や顧客対応について判断することが難しくなります。

フォレンジック調査では、端末やログなどに残されたデジタル上の痕跡を分析し、「どのような操作が確認されたのか」「どこまで影響した可能性があるのか」を客観的な事実として整理します。

第三者による調査報告書は、経営層だけでなく、必要に応じて取引先、保険会社、監査、法務などへ事実関係を説明する際の資料として活用できます。

ただし、フォレンジック調査報告書を作成したからといって、法的な証拠能力や第三者による評価が自動的に保証されるものではありません。法的手続きでの利用を想定する場合には、必要に応じて弁護士などとも連携して進めることが重要です。

復旧判断に必要な情報を整理し、再発リスクの低減につなげられる

専門的な調査によって、攻撃に利用された可能性のあるアカウント、不審なスケジュールタスク、遠隔操作ツール、設定変更などを確認し、復旧前に対応すべき事項を整理できます。

また、侵入経路や被害拡大の原因が確認できれば、脆弱性への対応、認証強化、ネットワーク構成の見直しなど、調査結果に基づいた対策を実施できます。

これによって、原因を十分確認しないまま復旧する場合と比較して、同じ経路を悪用した再侵入・再被害のリスク低減につなげることができます。

調査会社を選ぶ際のポイント

ランサムウェア調査では、侵入経路、横展開、認証情報の侵害、情報流出など複数の観点から調査する必要があります。

調査会社を選ぶ際には、単純な費用だけではなく、以下のような点を確認します。

ランサムウェア調査の実績と専門性

ランサムウェアインシデントでは、Active Directoryの侵害、VPNやネットワーク機器の脆弱性、仮想化基盤への攻撃、RaaS（Ransomware as a Service）など、複数の技術要素が関係する場合があります。

自社のシステム環境や発生している事象に対応できるか、PCだけでなくサーバー・ネットワーク・認証基盤などを横断して調査できるか、ランサムウェアを含むインシデント調査の経験があるかを確認します。

緊急時に必要なタイミングで対応できるか

ランサムウェアは発生時期を予測できず、夜間・休日を含めて突然対応が必要になる場合があります。

そのため、「24時間365日と記載されているか」だけでなく、

• 問い合わせ後いつ初期ヒアリングを開始できるか
• いつデータ保全を開始できるか
• いつ解析に着手できるか
• オンサイト・リモートのどちらに対応できるか

といった実際の調査開始までのリードタイムを確認することが重要です。

調査範囲・報告内容・費用が明確か

ランサムウェア調査・復旧には、被害状況によって大きな費用が発生する場合があります。

警察庁の令和7年（2025年）のアンケートでは、ランサムウェア被害に関連する調査・復旧費用について回答した89件のうち、1,000万円以上5,000万円未満が32件、5,000万円以上1億円未満が9件、1億円以上が5件でした。調査・復旧費用が1,000万円以上となった回答を合わせると、半数を超えています。

ただし、これはランサムウェア被害に伴う調査と復旧を含む総額であり、フォレンジック調査だけの費用を示したものではありません。

外部へ調査を依頼する際には、

• 調査対象となる端末・サーバー・ログ
• 調査によって確認したい事項
• データ保全の有無
• 解析範囲
• 報告書の内容
• 追加調査が必要になった場合の費用条件

などを確認し、見積金額と調査範囲をセットで比較することが重要です。

被害に備えるために平時から実施すべきランサムウェア対策

ランサムウェア被害が発生した際に被害を抑え、迅速な調査・復旧を行えるかどうかは、平時の準備に大きく左右されます。

ランサムウェア対策では、「侵入させない」だけではなく、侵入を早期に検知する、被害の拡大を抑える、復旧できる状態を維持する、発生後に調査できるデータを残すという複数の視点から対策することが重要です。

セキュリティ製品の導入と適切な運用（EDR・XDR・MFAなど）

エンドポイントでの不審な挙動を検知・調査するEDRや、複数のセキュリティ情報を横断的に分析するXDRなどは、ランサムウェアを含むサイバー攻撃の早期検知・対応を支援する選択肢となります。

重要なのは製品を導入すること自体ではなく、アラートを誰が確認するのか、どのような場合に対応を開始するのか、ログが適切に保存されているかなど、運用体制まで整備することです。

また、VPN、クラウドサービス、管理者アカウントなど、外部からアクセス可能な重要システムには多要素認証（MFA）を導入し、認証情報だけを窃取された場合でも容易に不正ログインされない環境を整えることが有効です。警察庁も、強固な認証手段やアクセス制御を組み合わせた対策を推奨しています。

脆弱性管理と迅速なパッチ適用

VPN機器、ファイアウォール、サーバー、仮想化基盤など、インターネットに公開されているシステムの脆弱性はランサムウェアの侵入経路として悪用される可能性があります。

自社が保有するIT資産を把握し、利用中の製品に関する脆弱性情報を継続的に確認します。

セキュリティパッチが公開された場合には、脆弱性の深刻度、自社環境への露出状況、悪用事例の有無などから優先順位を付けて対応します。

すぐにパッチを適用できないシステムについては、アクセス制限、不要サービスの停止、ネットワーク分離などの代替措置も検討します。

データのバックアップと復旧テストの実施

バックアップはランサムウェア被害から復旧するための重要な対策ですが、「バックアップを取得している」というだけでは十分ではありません。

ネットワークに常時接続されたバックアップが攻撃者からアクセス可能な状態では、バックアップまで削除・暗号化される可能性があります。

そのため、重要度に応じてオフラインバックアップやイミュータブルストレージなど、攻撃者による変更・削除の影響を受けにくい方式を組み合わせます。警察庁も、バックアップをネットワークから切り離して保存するなどの対策を推奨しています。

また、定期的に復旧テストを行い、

「必要なデータがバックアップされているか」

「想定した時間で復元できるか」

「業務システムとして正常に再稼働できるか」

まで確認しておくことが重要です。

ログの取得・監視・保全体制の構築

ランサムウェア調査では、Active Directory、VPN、ファイアウォール、プロキシ、EDR、端末、サーバーなどに記録されたログが重要な手がかりとなります。警察庁も、被害実態の把握や再発防止のため、日頃から各種ログを取得しておくことを推奨しています。

必要なログが取得されていなかったり、保存期間を過ぎて上書きされていたりすると、侵入経路や被害範囲の確認が難しくなる可能性があります。

ただし、「最低○か月保存すればよい」といった一律の保存期間がすべての企業に適用されるわけではありません。

自社のシステム環境、想定する脅威、法令・業界要件、インシデント発見までに要する可能性のある期間などを踏まえて保存期間を設計し、重要なログについては集中管理、権限分離、バックアップなども検討します。

インシデント対応計画の策定と定期的な訓練

ランサムウェア被害が疑われた際に、

• 誰が第一報を受けるのか
• 誰がインシデントと判断するのか
• どのシステムをどのように隔離するのか
• 誰が経営層・法務・広報へ連絡するのか
• どの段階で外部専門家へ相談するのか
• 誰がシステム復旧を判断するのか

といった役割や判断基準を事前に定めておきます。

また、マニュアルを作成するだけでなく、経営層、情報システム部門、法務、広報、事業部門などを含めた机上訓練を行い、実際のインシデントで手順が機能するか確認します。

警察庁も、ランサムウェアを含むサイバー攻撃を想定した訓練によって、関係者との連絡、警察への通報・相談、広報対応、バックアップからの復旧手順などを確認しておくことを推奨しています。

まとめ：ランサムウェア調査は安全な事業復旧と再発防止につなげることが重要

ランサムウェア攻撃を受けた際には、目に見えるファイルの暗号化だけに対応するのではなく、**「どこから侵入されたのか」「どこまで侵害されたのか」「情報が外部へ持ち出された可能性があるのか」**を客観的なログやデジタル上の痕跡から確認することが重要です。

侵入経路や残存する脅威を十分に確認しないまま復旧すると、同じ経路を利用した再侵入や再被害につながる可能性があります。一方で、調査のために事業復旧を必要以上に遅らせることも避けなければなりません。

そのため、被害拡大防止、証拠・ログの保全、ランサムウェア調査、システム復旧を状況に応じて並行して進め、確認された事実をもとに段階的な事業再開につなげることが重要です。

また、ランサムウェア対策は被害発生後だけに行うものではありません。平時からMFA、脆弱性管理、EDR等による監視、バックアップ、ログ管理、インシデント対応訓練などを整備し、**「被害を防ぐ」「早期に検知する」「調査できる」「安全に復旧できる」**状態を作っておきましょう。

自社だけでは侵入経路や被害範囲、情報流出の可能性を十分に確認できない場合には、調査に必要なログや痕跡が失われる前に、デジタルフォレンジックなどの専門家へ早めに相談することも重要です。